Carátula 


SEÑOR PRESIDENTE.- Está abierto el acto. 
(Es la hora 10 y 15 minutos.) 
-Dese cuenta de un asunto entrado. 
(Se da del siguiente:) 


“Solicitud de audiencia de representantes de Zona Franca Florida para exponer sobre el 
proyecto de ley por el que se modifica la Ley de Zonas Francas.” 


-Corresponde continuar con el tratamiento del proyecto de ley sobre Central de Riesgos 
Crediticios del Banco Central del Uruguay, por el que se establece el marco jurídico para garantizar el 
derecho a la protección de datos de carácter personal. 


Hemos recibimos la visita de representantes del Banco Central del Uruguay, quienes nos 
informaron que la Ley N* 17.948 de 2006 -Información sobre personas, empresas e instituciones 
incorporadas a los registros del Banco Central del Uruguay- dio atribuciones a esa Institución para el 
manejo y difusión de datos de su central de riesgos crediticios. A su vez, a pesar de que la Ley N* 
18.331, de Protección de Datos Personales y Hábeas Data, está relacionada con todo esto, no se ha 
compatibilizado con la anterior, por lo que se realizó un trabajo conjunto entre el Banco Central y la 
AGESIC para elaborar este proyecto de ley. 


En este sentido el doctor Rotondo nos envió una nota preocupado porque este tema no se 
había tratado, y si bien hay algunos proyectos importantes a considerar, entendimos que debíamos 
abordarlo en forma inmediata. Por tal motivo resolvimos comunicarnos con quienes hoy nos visitan a 
los efectos de escuchar su opinión y de que luego la Comisión adopte una decisión. 


Damos la bienvenida al doctor Felipe Rotondo y el magíster Felipe Monteverde, a quienes 
cedemos el uso de la palabra. 


SEÑOR MONTEVERDE.- Buenas días y muchas gracias por vuestra invitación a esta Comisión para el 
tratamiento de este tema que para nosotros es realmente muy importante. 


Como bien dijo el señor Presidente, este proyecto de ley fue elaborado conjuntamente entre 
la Unidad Reguladora de Control de Datos Personales y el Banco Central, y con esta normativa se 
tiende a compatibilizar y armonizar la ley que regula la Central de Riesgos, y la Ley N* 18.331, de 
Protección de Datos Personales y Hábeas Data, que es posterior. Esta última refería a la anterior Ley 
N? 17.838, de Protección de Datos Personales, que fue derogada por la que rige actualmente. 


En la medida en que elaboramos la iniciativa en forma conjunta con el Banco Central, 
tenemos total acuerdo con esta Institución -creo que ello está implícito- en cuanto a los términos que 
en ella se plantean, ya que recoge algunos requisitos técnicos muy específicos que hacen a la 
regulación del sistema financiero y al mercado de créditos; en particular, alude a los plazos de 
inscripción, que son distintos a los que se establecen en la Ley N* 18.331. Se trata de temas 
absolutamente técnicos desde el punto de vista económico; el Banco Central entendía que esos tenían 
que ser los procedentes y no los establecidos en el régimen general estipulado en la Ley N* 18.331. 
Básicamente, este es el espíritu de la norma. 


Por otra parte, nuestro interés en que este proyecto de ley prospere en forma rápida no 
obedece en absoluto a la intención de imponer nuestros tiempos a este Cuerpo, sino que está un poco 
sincronizado con un tema vinculado con todo esto: el proceso de adecuación de la protección de datos 
personales de nuestro país con la Unión Europea. Ese procedimiento se disparó en 2008, ni bien se 
aprobó la Ley, y desde entonces está a estudio de la Unión Europea, cuyo órgano técnico -el grupo de 


trabajo WP29- se expidió en forma afirmativa el año pasado, cuando dio el visto favorable para que 
Uruguay fuera considerado como país compatible -por decirlo de alguna manera- con el régimen 
europeo en lo que refiere al tratamiento de datos personales. Para nuestro país esa consideración 
tiene un impacto importante en lo que hace a la transferencia de datos entre Uruguay y Europa, y 
viceversa. En síntesis, nuestro apuro se basa en el hecho de que, probablemente, en el correr de este 
año obtengamos la aprobación final, en cuyo caso simplemente falta que el Consejo Europeo se 
pronuncie, porque ya se han dado todos los pasos técnicos al respecto. Creemos que, de esta forma, 
clarificamos algunas dudas que habían surgido a este respecto. 


Es cuanto quería informar. En todo caso, si los señores Senadores están de acuerdo, cedería 
el uso de la palabra al doctor Rotondo. 


SEÑOR ROTONDO.- Señor Presidente: si bien lo que ha señalado el actual Presidente de la Unidad 
Reguladora y de Control de Datos Personales de la AGESIC, magíster Monteverde, es lo más 
importante sobre este tema, de todas maneras quisiera hacer alguna referencia desde el punto de vista 
jurídico, dado algún comentario que en su oportunidad hiciera el doctor Gamarra en representación del 
Banco Central. Adelanto que comparto lo que el expresara, pero quisiera hacer alguna referencia. 
Aclaro que firmé la nota anterior porque la Presidencia de la Unidad es anualmente rotativa entre sus 
tres miembros, y que el Magíster Monteverde acaba de asumir este cargo. 


Quisiera señalar lo siguiente. Para nosotros ha sido un éxito que el Banco Central y la 
Unidad Reguladora y de Control de Datos Personales de la AGÉSIC llegaran a ese acuerdo - 
suponemos que autoridades del Banco pensarán lo mismo- porque, en cierto momento, tal como lo 
expresara el doctor Gamarra, hubo una especie de desinteligencia entre esa Institución y nosotros. 
Nuestra ley se aplica -con algunas excepciones- para bases de datos creadas y reguladas por ley, y el 
Banco Central entendía que no era así en el caso del Lloyd's Register y de la Unidad Reguladora. 
Desde nuestro punto de vista, la Central de Riesgos no tenía esa creación y regulación formal. Esto fue 
compartido en algunas acciones de hábeas data presentadas por los ciudadanos. Concretamente, las 
sentencias 38/2009 y 120/2009 -del Juzgado Letrado en lo Contencioso Administrativo de 2* turno y, en 
segunda instancia, por el Tribunal de Apelaciones de 5* turno- señalaron que la Central de Riesgos 
estaba regulada por nuestra ley, en coincidencia con el punto de vista de la Unidad. Aclaro que no 
vengo a polemizar con el Banco Central porque hemos llegado a ese acuerdo, pero dada mi condición 
de abogado, señalo la importancia desde el punto de vista jurídico. Como dijo el magíster Monteverde, 
entiendo la adecuación europea. La Ley N* 18.331 establece los principios generales en materia de 
protección de datos, que también se aplicará a la Central de Riesgos. Pero, como dijo el magíster 
Monteverde, habrá algunas normas específicas que tienen su fundamento en la razón de ser de la 
Central de Riesgos. Por ejemplo, para el acceso a la base de datos, en lugar de 5 días son 20 días 
hábiles, y los datos de las personas pueden estar 15 años en lugar de ser 5 más 5, que es el tope 
establecido por nuestra ley. Esto es lo más importante. 


Señor Presidente: después de estas aclaraciones quedamos a las órdenes de los señores 
Senadores. Como ha dicho el magíster Monteverde, no solo hay que subrayar el interés por la 
adecuación europea, sino por contar con un sistema uruguayo de protección de datos para que quede 
clara la situación de las distintas bases de datos, y para que realmente se exceptúen se deben cumplir 
los requisitos que nuestra ley prevé. De esta manera evitaríamos las discusiones formales o que se 
resuelvan ciertas situaciones por vía de decreto. 


El Decreto N* 437/2009 estableció una regulación, que quedaría superada con la ley, que 
sería más completa y de mayor rango y, desde el punto de vista del contexto normativo, la situación 
sería mejor. Esto fue mencionado por el doctor Gamarra. 


SEÑOR ABREU.- Agradezco la presencia de los invitados y me gustaría hacerles una pregunta de 
carácter técnico. 


El artículo 2% establece que los datos personales relativos a personas físicas podrán 
permanecer inscritos. Acá se habla en forma potencial. Quisiera saber si esto se considera una facultad 
o si el plazo del registro -desde el punto de vista de la equidad- tendría carácter preceptivo 
estableciéndose que los datos personales deberán permanecer inscritos en la Central de Riesgos. 


Respecto al artículo 3%, que habla del tratamiento de los datos personales, quisiera hacer 
algunas consultas a nuestros invitados para que nos ayuden a legislar. A mi entender esta expresión no 
tiene la menor precisión jurídica porque se refiere a un tratamiento que bien podría ser hasta una 
especie de tratamiento físico. Quisiera saber qué alcance entienden ustedes que puede tener en 
materia de manejo o disposición de datos personales y qué precisión podrían aportar con respecto a la 
utilización del verbo “tratar”, ya que una cosa es disponer, archivar y poner a disposición, y otra distinta 
es tratar los datos personales. Debo decir que, jurídicamente, para mí este verbo es muy nuevo en 
aplicación a las facultades que se otorgan al Banco Central. 


Estos eran los dos aspectos que quería compartir. 


SEÑOR ROTONDO.- Debo decir que me quedó clara la segunda pregunta planteada por el señor 
Senador Abreu, pero no la primera. Por lo tanto, responderé ahora su segunda interrogante y después 
pediré al Senador una aclaración con respecto a la primera. 


Comprendo al Senador Abreu, ya que yo estaría en la misma situación si no se diera la 
circunstancia de que integro esta Unidad desde hace dos años. El término es utilizado en la jerga de la 
protección de datos; es más, la Ley N* 18.331 -que es la ley madre-, en el literal M) del artículo 4* 
dice lo siguiente: “Tratamiento de datos: operaciones y procedimientos sistemáticos, de carácter 
automatizado o no, que permitan el procesamiento de datos personales, así como también su cesión a 
terceros a través de comunicaciones, consultas, interconexiones o transferencias”. En realidad, el 
término también es utilizado en legislaciones extranjeras. 


SEÑOR MONTEVERDE.- Creo que la primera pregunta que formula el Senador Abreu tiene que ver 
con la expresión “Las personas físicas podrán permanecer”. Creo que refiere a que las personas 
permanecen en la Central de Riesgos dependiendo de la operación por la que fueron inscritas. Pueden 
permanecer hasta quince años o menos, dependiendo de la fecha de caducidad del crédito por el que 
figuran en dicha Central de Riesgos. Justamente se expresa “podrán”, porque puede darse la 
eventualidad de que sea por menos tiempo. 


SEÑOR ROTONDO.- Coincido con lo que acaba de expresar el magíster Monteverde. En el inciso 
segundo del artículo 22 de la Ley N* 18.331, se expresa: “Los datos personales relativos a obligaciones 
de carácter comercial de personas físicas sólo podrán estar registrados por un plazo de cinco años”, 
que luego se podrán prorrogar por otros cinco. En realidad, esto depende de las circunstancias, ya que 
los datos pueden estar dos, tres o cinco años, más otros cinco si con un preaviso se pide la prórroga. 
Esa es una norma general. Según la norma específica, los datos podrían permanecer hasta diez años. 
De manera que el verbo utilizado no es correcto. 


SEÑOR ABREU.- Quisiera saber qué opinión tienen sobre lo que dispone el artículo 3% en cuanto a 
que no se requerirá el previo consentimiento del titular. 


SEÑOR ROTONDO.- En primer lugar, quiero señalar que es importante que esto esté incluido en la ley 
y eso se desprende del decreto que cité hace unos momentos. El decreto señala que estaba fuera de 
la Ley N* 18.331 y creo que es correcto que eso lo haga una ley pero no un decreto. Aprovecho la 
ocasión para hacer este comentario. De manera que, desde ese punto de vista, quedaría regularizado. 
Ahora bien, desde el punto de vista de fondo, podemos ver que allí aparecen citadas algunas normas 
de la Ley N* 18.331; entonces, ¿cuándo no se requiere el previo consentimiento? Entre otros casos, 
cuando se trata de funciones propias de los Poderes del Estado, y eso lo expresa el artículo 9* de la 
citada ley. Se ha interpretado, incluso por la doctrina, que no se refiere solamente a los Poderes del 
Estado en el sentido que lo expresa Jiménez de Aréchaga, sino a las funciones de los órganos del 
Estado en general y, en este caso, sería en el ejercicio de los cometidos del Banco Central. El artículo 
que se cita al respecto es el 9” de la Ley N* 18.331, inciso tercero, literales B) y C); específicamente, el 
literal B) expresa: “o en virtud de una obligación legal”, que en este caso es más importante que el otro. 


SEÑOR PRESIDENTE.- Si no interpreto mal, la ley ya expresa que para esos casos no será necesario 
el previo consentimiento, y ahora para el Banco Central del Uruguay este proyecto de ley refuerza lo 
que dice la ley. 


SEÑOR ROTONDO.- Es correcto; esto significa que este caso queda comprendido en la norma que 
acabamos de citar. 


SEÑOR PRESIDENTE.- Muchas gracias por despejar mi duda. 


SEÑOR RODONDO.- Fíjense que el artículo 5% mantiene una norma que está en la Ley N* 17.948, 
que establece que no es responsabilidad del Banco Central del Uruguay verificar la veracidad de los 
datos que las instituciones le envían, porque esta base se conforma en virtud de la información que le 
suministran las instituciones de intermediación financiera. Quiero subrayar que la ley marca eso y lo 
señaló el Banco Central en el recurso contra la resolución que nosotros dictamos -y estoy de acuerdo 
con ello-; sin embargo, si una situación cambia y algún banco lo comunica, pero el Banco Central no lo 
hace, queda regido por nuestros principios. Aquí parecería decir que nunca podrá haber 
responsabilidad del Banco Central; en realidad, no la tendrá para esta situación, pero si una institución 
informa sobre la actualización de un dato y el Banco no lo incorpora, puede ser responsable y de ahí la 
importancia de que se aplique nuestra ley. Quiere decir que en una primera instancia no sería 
responsable, pero podría serlo luego si no actúa como debe ante la información que le suministra la 
institución respectiva. 


SEÑOR PRESIDENTE.- Creo que el punto ha quedado claro. Si los señores Senadores integrantes de 
la Comisión no tienen otras dudas y los invitados ya hicieron todos sus aportes, agradecemos su 
presencia y pasamos a tratar el proyecto de ley. 


SEÑOR MONTEVERDE.- Quería plantear con total honestidad que en conjunto con el Banco Central 
del Uruguay habíamos acordado incluir este mismo articulado en el proyecto de ley de Rendición de 
Cuentas, pero por razones de tiempo no se pudo efectivizar. 


SEÑOR ROTONDO.- De todas formas, por la importancia que tiene es mejor que sea aprobado por 
separado. 


SEÑOR PRESIDENTE.- Sin duda, va a tener un tratamiento más rápido. Esto será enviado a la 
Cámara de Representantes y cuando nos manden la Rendición de Cuentas para acá, esto será 
aprobado allá. 


Nuevamente agradecemos su presencia. 


(Se retiran de Sala los miembros del Consejo Ejecutivo de la Unidad Reguladora y de Control de Datos 
Personales, AGESIC.) 


-Creo que podríamos poner a votación este proyecto de ley, ya que en la Comisión no se ha 
presentado ninguna diferencia importante al respecto y las consultas que se hicieron han sido 
debidamente contestadas. Estamos hablando de una iniciativa que cuenta con el aval del Banco 
Central y de AGESIC. Creo que podríamos considerarla ahora; no obstante, quisiera hacer algunos 
comentarios simplemente referidos al texto. 


En el artículo 2* habría que detallar también con letras el número 15 referido a los años del 
plazo que allí se establece. En el artículo 3% habría que sustituir, en las dos partes en las que figura, la 
expresión “inciso 3” por “inciso tercero” y, al igual que en el artículo 4%, habría que incluir la fecha de la 
Ley N* 18.331 que se menciona. 


SEÑOR ABREU.- Se ha aplicado un método distinto para titular los artículos, ya que en algunos se 
hace mención al tema y en otros, al contenido. Por ejemplo, en el artículo 1% como título pondría 
simplemente “Registros” y no “Registros a cargo del Banco Central del Uruguay” porque esto ya está 
dispuesto. 


El título del artículo 2% es “Plazo de registro”, mientras que en el título del artículo 3% se habla 
del tema del consentimiento. 


En los artículos 4* y 5? los títulos están muy bien establecidos porque se mencionan los temas 
sobre los que va a discurrir la disposición. En los títulos a veces mezclamos la enunciación del artículo 
con el contenido. 


En consecuencia, los títulos podrían ser los siguientes: en el artículo 1%, “Registros”; en el 2", 
“Plazo de registro”; en el 3%, “Consentimiento de los titulares de datos personales” -ya que el tema del 
consentimiento será abordado en la disposición-, y los artículos 4* y 5% quedarían tal cual están. 


Esto apunta a tener coherencia en cuanto a la titulación de los distintos artículos. 
SEÑOR PRESIDENTE.- De acuerdo, señor Senador. 


Existiendo acuerdo y teniendo en cuenta estas consideraciones, se van a votar en bloque los 
cinco artículos de este proyecto de ley. 


(Se vota:) 
-7 en 7. Afirmativa. UNANIMIDAD. 
SEÑOR COURIEL.- Propongo que el miembro informante sea el señor Presidente de esta Comisión. 
SEÑOR PRESIDENTE.- Se va a votar la propuesta formulada. 
(Se vota:) 
-6 en 7. Afirmativa. 


SEÑOR GALLINAL.- Solicito a la Mesa que se incluya en el Orden del Día de la próxima sesión la 
“Carpeta N* 336/2010, Defensa de los Derechos del Contribuyente. Se establecen normas. Proyecto 
de ley con exposición de motivos presentado por el señor Senador Luis Alberto Lacalle Herrera”. 


SEÑOR PRESIDENTE.- Así se hará, señor Senador. 
Se levanta la sesión. 


(Es la hora 10 y 45 minutos.) 


Linea del vie de náaina 
Montevideo, Uruguay. Poder Legislativo. 


